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Beschreibung 

Verfahren zum Ersatzschalten von raumlich getrennten Vermitt- 
lungssystemen 

5 

Zeitgemafie Ventii tt lungs systeme (Switch) verfugen durch redun- 
dantes Bereitstellung wichtiger interner Komponenten uber ein 
hohes Mali an interner Betriebssicherheit . Damit wird im 
Normalbetrieb eine sehr hohe Verfugbarkeit der vermitt lungs - 
10 technischen Funktionen erreicht. Treten jedoch massive auBere 
Einwirkungen auf (z.B. Feuer, Naturkatastrophen, Terroran- 
schlage, kriegerische Einwirkungen etc.), so nutzen die ge- 
troffenen Vorkehrungen zur Erhohung der Betriebssicherheit in 
der Regel wenig, weil Original- und Ersatz komponenten des 
Vermittlungssystems sich am gleichen Ort befinden und damit 
in einem solchen Katastrophenf all mit hoher Wahrscheinlich- 
keit beide Komponenten zerstort bzw. funktionsunf ahig gewor- 
den sind. 

Als Losung isfe eine geographisch separierte 1:1 Redundanz 
vorgeschlagen worden. Demgemass ist vorgesehen, jedem zu 
schiitzenden Vermittlungssystem einen identischen Klon als Re- 
dundanzpartner mit identischer Hardware, Software und Daten- 
basis zuzuordnen. Der Klon befindet sich im hochgefahrenen 
Zustand, ist aber trotzdem vermittlungstechnisch nicht aktiv. 
Beide Vermitt lungs systeme' werden von einem im Netz iibergeord- 
neten, realzeitf ahigen Monitor gesteuert, der die Umschalte- 
vorgange steuert. 
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zum 



Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren „ 
Ersatzschalten von Vermittlungssystemen anzugeben, das im 
Fehlerfall ein effizientes Umschalten eines ausgef allenen 
Vermittlungssystems auf einen Redundanzpartner sicherstellt 

Diese Aufgabe wird ausgehend von den im Oberbegriff von Pa- 
tentanspruch 1 angegebenen Merkmalen durch die im kennzeich- 
nenden Teil beanspruchten Merkmale gelost . 
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ErfindungsgemaJJ wird in. Zuge einer 1:1 Redundanz von einem 
ubergeordneten Monitor - der in Hardware und/ oder Software 
realisiert werden kann - eine Kommunikation zu den paarweise 
angeordneten Vermi tt lungs systemen (1:1 Redundanz) aufgebaut 
Bex Kommunikationsverlust zum aktiven Vermittlungssystem 
schaltet der Monitor mit Unterstutzung der zentralen Steue- 
rungen der beiden Vermittlungssysteme in Realzeit auf das 
redundante Vermittlungssystem urn. 

Ein wesentlicher Vorteil der Erfindung ist darin zu sehen, 
dass beim Umschaltevorgang von einem aktiven Vermittlungssys- 
tem auf ein hot-standby Vermittlungssystem keinerlei Netz- 
werkmanagement ben6tigt wird, das die Umschaltevorgange un- 
terstutzt. Insofern ist es irrelevant, ob das Netz ein derar- 
tiges Netzwerkmanagement aufweist oder nicht. Ferner ist der 
Monitor ttber eine fest vorgegebene Anzahl von Interfaces (z 
B. jeweils 2) mit den Vermittlungssystemen verbunden. Aus 
Sicht des Monitors stellt diese fest vorgegebene Anzahl von 
Interfaces Schnittstellen zu den betreffenden zentralen Steu- 
erungen der Vermittlungssysteme dar. Damit ist der Monitor 
unabhangig vom Ausbauzustand der beiden Vermittlungssysteme. 

Damit ist diese Losung in jedem Vermittlungssystem mit IP ba- 
sxerten Schnittstellen mit minimalem Implementierungsaufwand 
realisierbar. Die. LSsung ist umfassend einsetzbar und wirt- 
schaftlich, weil im wesentlichen nur der Aufwand fur den Mo- 
nitor anfallt, Ferner ist sie durch Nutzung einfacher, stan- 
dardisierter IP Protokolle extrem robust. Fehlsteuerung auf- 
grund von SW Fehlern kSnnen damit annahernd ausgeschlossen 
werden. Fehlsteuerungen aufgrund von temporaren Ausfallen im 
IP core Netz beheben sich automatisch, nachdem der Ausfall 
beendet ist. Ein Doppelausfall des Monitors stellt ebenso 
kein Problem dar. 

Vorteilhafte Weiterbildungen der Erfindungen sind in den Un- 
teranspriichen angegeben. 



200318855 



Es zeigen: 
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Figur 1 die Netzkonf iguration gemass der Erfindung im Falle 
eines lokal redundanten Monitors 

Figur 2 die Netzkonf iguration gemass der Erfindung im Falle 
eines geographisch redundanten Monitors 

In Fig. 1 ist vorgesehen, jedem zu schutzenden Vermittlungs- 
system (z. B . Sl ) einen identischen Klon als Redundanzpartner 
(z. B. Slb ) mit identischer Hardware, Software und Datenbasis 
zuzuordnen. Der Klon befindet sich im hoohgefahrenen Zustand, 
ist aber trotzdem vermittlungstechnisch nicht aktiv (Be- 
triebszustand -hot standby") . Damit ist eine hochverftigbare 
uber mehrere Lokationen verteilte 1:1 Redundanz von Vermitt- 
lungssystemen def iniert . 

Die beiden Vermittlungssysteme (Vermittlungssystem Sl und der 
Klon Oder Redundanzpartner Slb ) werden von einem Netzwerkma- 
nagementsystem NM gesteuert. Die Steuerung erfolgt derart 
dass der aktuelle Stand von Datenbasis und Software beider 
Vermxttlungssysteme S lr s lb identisch gehalten wird. Dies wird 
errexcht, indem jedes betriebstechnische Kommando, jedes Kon- 
figurationskommando und jedes Software-Update inklusive Pat- 
ches identisch an beide Partner ausgebracht wird. Damit wird 
exn raumlich abgesetzter, identischen Klon zu einem in Be- 
trxeb befindlichen Switch mit identischer Datenbasis und i- 
dentischem Sof twarestand def iniert. 

Die Datenbasis beinhaltet grundsatzlich alle semipermanenten 
und permanenten Da ten. Hierbei werden unter permanenten Daten 
dxe Daten verstanden, die als Code in Tabellen abgelegt sind 
und dxe sich nur per Patch oder Software-Update andern las- 
sen, unter semipermanenten Daten werden die Daten verstanden 
die z. B. uber die Bedienerschnittstelle in das System gelan- 
gen und die fur langere Zeit dort in der Form der Eingabe ge- 
spexchert sind. Mit Ausnahme der Konf igurationszustande des 
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Systems werden diese Daten i.a. vom System nicht selbst ver- 
andert. Nicht in der Datenbasis enthalten sind die einen Ruf 
beglextenden transienten Daten, die das Vermittlungssystem 
nur kurzzeitig speichert und die uber die Dauer eines Calls 
hxnaus i.a. keine Bedeutung haben oder Zustandsinf ormationen, 
dxe transiente Oberlagerungen/ Erganzungen von konfigurativ 
vorgegebenen Grundzustanden sind. (So k6nnte ein Port zwar im 
Grundzustand aktiv sein, aber wegen einer transienten (voru- 
^ bergehenden) Storung momentan nicht zugreifbar sein.) 

Im weiteren verfiigen die Vermittlungssysteme S lt Slb beide li- 
ber (in Fig. 1 nicht naher aufge2eigte) aktiv ^ paketor±en _ 
txerte Interfaces zum gemeinsamen Netzwerkmanagementsystem 
NM. Wahrend aber beim Vermittlungssystem Sl alle paketorien- 
15 txerten Interfaces I Fl ...lF n aktiv sind, sind beim Vermitt- 
lungssystem Slb hingegen die paketorientierten Interfaces im 
Betriebzustand "idle". Der Zustand "idle" bedeutet, dass die 
Interfaces keinen vermittlungstechnischen Nachrichtenaus- 
tausch erlauben, aber von auJien, d.h. durch eine auAerhalb 
-0 von Vermittlungssystem S a und Vermittlungssystem s tt gelege- 
nen, ubergeordneten realzeitfahigen Monitor aktiviert werden 
konnen. Der Monitor kann in Hardware und/oder Software reali- 
sxert sein, und schaltet im Fehlerfall in Realzeit auf den 
Klon urn. Realzeit bedeutet hier eine Zeitspanne von wenigen 
5 Sekunden. Abhangig von der Qualitat des Netzes kann auch eine 
hohere Zeitspanne zur Erkennung der Notwendigkeit zur Ersatz- 
schaltung definiert werden. Gemass vorliegendem AusfUhrungs- 
bexsp.el ist der Monitor als Steuereinrichtung SC und aus Si- 
^ cherhextsgrunden gedoppelt (lokale Redundanz) ausgebildet. 

Die interfaces l n sin d paketbasiert und stellen somit Kommu- 
nxkatxonsschnittstellen zu paketbasierten Peripherieeinrich- 
tungen (wie z. B. IAD, SIP Proxy-Einrichtungen) , fernen pa- 
ketbasxerte Switches (S x ) , paketbasierten Media Gateways und 
Servern (MG/ AGW) dar. sie werden sie mittelbar .von der Steu- 
ereinrichtung SC (Switch Controller, SC) gesteuert. Dies be- 
deutet, dass die Steuereinrichtung SC die Interfaces IF n Uber 
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solrr^'r StSUerUngen CP ^tivieren und deaktivieren, und 
somxt belxebxg zwischen den Betriebszustanden »act" und «id- 
le" hxn- und herschalten kann. 

Die Konfiguration gemass der Fig. 1 soil als Default Konfigu- 
ratxon gelten. Dies bedeutet, dass vermittlungssystem Sl ver- 
mxttlungstechnisch aktiv ist/ wahrend sich Vermittlungssystem 
S lb xn exnem Betriebszustand «hot standby" befindet. Dieser 
Zustand ist durch eine aktuelle Datenbasis und voile Aktivi- 
tat aller Komponenten bis auf die paketbasierten Interfaces 
(und eventuell die Bearbeitung vermittlungstechnischer Anrei- 
ze) gepragt. Das (geographisch redundante, Vermittlungssystem 
S lb kann somit von der Steuereinrichtung SC durch Aktivierung 
der interfaces IP 2 .. n schnell (Realzeit) in den vermittlungs- 
technxsch aktiven Zustand uberfuhrt werden. Als wesentlicher 
Aspekt xst anzusehen, dass die beiden geographisch redundan- 
ten Vermxttlungssyteme Sl , s lb sowie das Netzwerkmanagement NM 
und dxe gedoppelte Steuereinrichtung SC jeweils raumlich 
deutlxch getrennt sein miissen. 

Die Steuereinrichtung SC ubermittelt dem Netzwerkmanagement 
NM regelmassig oder bedarfsweise auf Anforderung den aktuel- 
len Betrxebszustand der Vermi tt lungs systeme Sl und S lb (act/ 
standby, Zustand der Interfaces, sowie den eigenen Betriebs- 
zustand Aus Sicherheitsgrunden sollte das Netzwerkmanagement 

f FUnkti ° n haben ' °ben beschriebenen Umschaltungen 

auch manuell herbeifuhren zu konnen. Optional kann die auto- - 
matxsche. Umschaltung blockiert werden, so dass die Umschal- 
tung nur manuell durchgefuhrt werden kann. 

viL^r'^ 633611 AdrSSSen) der interfaces l Fl ...i Fn des 

Vermxttlungssystems Sl und ihrer jeweiligen Partner Inter- 
faces von Vermittlungssystem S lb konnen identisch sein, mus- 
sen es aber nicht. Wenn sie identisch sind, wird das Umschal- 
ten nur von vorgeschalteten Routern bemerkt . FUr die Partner- 
Applxkation im Netz ist es dagegen v611xg transparent. Man 
sprxcht xn diesem Zusammenhang auch von der IP Failover Funk- 
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tion. Falls das Protokoll, das ein Interface bedient, ein Um- 
schalten des Kommunikationspartners auf eine andere Paket- 
Adresse erlaubt, wie dies z.B. beim H.248 Protokoll der Fall 
ist (ein Media Gateway kann selbstandig eine neue Verbindung 
5 zu einem anderen Media Gateway Controller mit anderer IP Ad- 
resse herstellen) , konnen die IP Adressen auch unterschied- 
lich sein. 





In einer Ausgestaltung der Erfindung wird vorgesehen, als 
10 Steuereinrichtung SC den Zentralrechner eines weiteren Ver- 
mittlungssystems zu verwenden. Damit existiert dann eine 
Steuereinrichtung mit hochster Verf iigbarkeit . 

In einer Weiterbildung der Erfindung kommt die Etablierung 
15 einer unmittelbaren Kommunikationsschnittstelle zwischen Ver- 
mittlungssystem Si und Vermitt lungs system Sib in Betracht. 
Diese kann zum Update der Datenbasis z.B. im Hinblick auf 
SCI -(Subscriber Controlled Input) und Gebiihren-Daten genutzt 
werden sowie auch zum Austausch transienter Daten von einzel- 
2 0 nen Verbindungen oder wesentlichen weiteren transienten Daten 
(z. B. H.248 Association Handle). Damit sind die Storungen 
des Betriebs aus Teilnehmer- und Betreibersicht minimierbar. 
Die semipermanent en und transienten Daten konnen dann von dem 
jeweiligen aktiven Vermittlungssystem in das redundante 
25 standby Vermittlungssystem in einem zyklischen Zeitraster 

(Update) ttbertragen werden. Das Update der SCI-D'aten hat den 
Vorteil, dass das zyklische Restore auf dem standby-System 
vermieden wird und jederzeit Aktualitat bzgl. SCI Daten im 
standby System herrscht . Durch das Update Stack-relevanter 
30 Daten, wie dem H.248 association handle, kann der Peripherie 
die Obernahme der Peripherie durch ein Ersatzsystem verborgen 
werden, und es konnen die Ausf allzeiten noch starker redu- 
ziert werden. 

Im folgenden sei nun von einem schwerwiegenden Aus fall des 
35 Vermittlungssystems Si ausgegangen. Aufgrund der geographi- 
schen Redundanz ist mit hoher Wahrscheinlichkeit der Klon 
(Vermittlungssystem Sib) ebenso nicht betroffen wie die Steu- 
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ereinrichtung SC. Die Steuereinrichtung SC stellt den Ausfall 
von Vermittlungssystem Si fest, da deren Zentralsteuerung CP 
uber eine feste vordef inierte Mehrzahl von Interfaces des 
Vermittlungssystems Si nicht mehr erreicht werden kann und 
damit Kommunikationsverlust zur Zentralsteuerung CP des Ver- 
mittlungssystems Si eintritt. 

Die Steuereinrichtung SC schaltet nun auf das Bemerken des 
Ausfalls von Vermittlungssystem Si hin das geographisch re- 
dundante Vermittlungssystem Si b in einen aktiven Betriebszu- 
s.tand. Das ausgefallenen Vermittlungssystem geht nach Repara- 
tur/ recovery in den "Betriebszustand "hot standby". Gegebe- 
nenfalls sind manuelle Eingriffe notig, urn beim Hochfahren 
von Vermittlungssystem Si die aktuelle Datenbasis von Ver- 
mittlungssystem Sit zu laden. Das Umschalten kann jederzeit 
auch vom Network Management System NM aus manuell durchge- 
fuhrt werden. 

Bei vorliegendem Aus fiihrungsbei spiel gemass der in Fig. 1 
aufgezeigten Struktur wird davon ausgegangen, dass die Ver- 
mittlungssysteme Si und Si b ausschliesslich IP Interfaces auf- 
weisen, Terminierung von TDM-Strecken am Vermittlungssystem 
sind nicht vorgesehen. Vermittlungssystem Si und Su, sind bei- 
spielhaft tiber jeweils genau 2 IP Interfaces IFi, IF 2 mit der 
Steuereinrichtung SC verbunden. Damit durfte eine hinreichen- 
'de' Redundanz gegeben sein, obwohl diese Verbindiing bis auf 
alls n Interfaces ausdehnbar ist. Die Steuereinrichtung SC 
selbst ist aufgrund ihrer Doppelung ausfallsicher . 

Beim Hochlauf wird von der Steuereinrichtung SC (Default Kon- 
f iguration) ) das Vermittlungssystem S a als vermittlungstech- 
nisch "aktiv" und das Vermittlungssystem Sib als vermitt- 
lungstechnisch "standby" definiert, die Vermittlungssysteme 
Si und S^ werden hiervon explizit informiert. Als Folge hier- 
von wird von der zentralen Steuereinrichtung CP des Vermitt- 
lungssystems Si alle n > 2 Interfaces IF n in den vermitt- 
lungstechnisch aktiven Zustand versetzt, wohingegen alle n 
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> 2 Interfaces IF n des Vermittlungssystems Si b von dessen 
zentraler Steuereinrichtung CP im Zustand NX IDLE" belassen 
werden. Vermittlungs system Sib meldet sich unter den ihm zu- 
gedachten externen ve rmitt lungs technisch nutzbaren IP- 
5 Adressen erst gar nicht beim Edge-Router (fiir IP fail-over 

Adressen und/oder non- fail-over Adressen) oder reagiert nicht 
auf Eingaben aus der Peripherie, also Gateways, IADs, usw. 
(fur non-fail-over Adressen) . 

Der Betriebszustand der beiden Vermittlungssysteme Si und Si b 
wird tiber den Austausch zyklischer Testnachrichten zwischen 
der Steuereinrichtung SC und den zentralen Steuerungen CP der 
beiden paarweise angeordneten Vermittlungssysteme Si, S ib ti~ 
berwacht. Der Austausch der zyklischen Testnachrichten zwi- 
schen der Steuereinrichtung SC und der zentralen Steuerung CP 
des aktiven Vermittlungs systems Si erfolgt dadurch, dass sich 
das aktive Vermittlungssystem Si mit Unterstutzung seiner 
zentralen Steuerung CP zyklisch bei der Steuereinrichtung SC 
meldet und daraufhin eine positive Quittung (z. b. alle 10s) 
erh&lt . Der Austausch der zyklischen Testnachrichten zwischen 
der Steuereinrichtung SC und der zentralen Steuerung CP des 
hot-standby Vermittlungssystems S ib erfolgt, indem sich das 
hot-standby Vermittlungssystem S ib mit Untersttitzung seiner 
zentralen Steuerung CP zyklisch bei der Steuereinrichtung SC 
meldet und daraufhin keine oder eine negative Quittung (z. b. 
alle 10s) erhalt. 

Vermittlungssystem Si soil nun ausf alien. Die Steuereinrich- 
tung SC (falls intakt) meldet jeden verif izierten, unzulassig 
lange wShrenden Kommunikationsverlust mit der Zentralsteue- 
rung CP des Vermittlungssystems 1 an das Netzwerkmanagement 
NM, wozu beide Interfaces IF1, IF2 herangezogen werden- Fer- 
ner gibt sie Vermittlungssystem Sub den Auftrag zur Inbe- 
triebnahme, indem sie die zentrale Steuereinrichtung CP des 
Vermittlungssystems Si*, tiber mindestens eines der Interfaces 
IF1, IF2 veranlasst, seine vermittlungstechnischen Interfaces 
zu aktivieren. Da die Steuereinrichtung SC die Verf iigbarkeit 

8 
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von Vermittlungssystem S lb in der Vergangenheit uberwacht 
hat, und dieses nicht gestort zu sein scheint, kann dies um- 
gehend erfolgen. 

Das Aktivieren der Interfaces von Vermittlungssystem er- 
folgt, indem die Steuereinrichtung SC die zyklischen Requests 
von Vermittlungssystem S ab positiv quittiert. Die zentrale 
Steuerung CP des Vermittlungs systems S lb schaltet daraufhin 
die Interfaces IF n explizit in den vermittlungstechnisch ak- 
tiven Zustand. Ferner quittiert die Steuereinrichtung SC zu- 
kiinftige Requests von Vermittlungssystem Si negativ oder 
lasst sie unquittiert , womit die zentrale Steuerung CP das 
Vermittlungssystem Si explizit die Interfaces IF„ in den ver- 
mittlungstechnisch inaktiven Zustand schaltet, was auch nach 
15 der Wiederinbetriebnahme nach Reparatur sofort erfolgt. 

Die IP-fail-over Adressen von Vermittlungssystem Si werden 
nun den vorgelagerten Routern bekannt gemacht. Gleiches gilt 
fur externe non-fail-over Adressen, sofern noch nicht gesche- 
hen. Die tiber die Router eintreffende externe Signalisierung 
wird fortan durch Vermittlungssystem Su, bearbeitet. 

Geht der Fehler auf eine Kommunikationsstorung zwischen Ver- 
mittlungssystem Si und der Steuereinrichtung SC zuruck, so 
detektiert Vermittlungssystem Si die Nichtverfugbarkeit der 
Steuereinrichtung SC und geht' da von aus, dass die Steuerein- 
richtung SC auf Vermittlungssystem S ib umschaltet. Damit de- 
aktiviert Vermittlungssystem Si seine Interfaces aufgrund des 
Kommunikationsverlustes zur Steuereinrichtung SC automatisch. 
Hierdurch ist gewahrleistet, dass jeweils nur eines der bei- 
den Vermittlungssysteme S x und Su, aktiv ist. 

Nach der Reparatur oder Wiederverfugbarkeit der Kommunikation 
zwischen der Steuereinrichtung SC und Vermittlungssystem Si 
kann wieder auf Vermittlungssystem S x zuriickgeschaltet wer- 
den. Dies ist jedoch nicht zwingend erf orderlich, kann aber 
optional unterstiitzt werden. 
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Um auszuschlieAen, dass ein Kommunikationsverlust zwischen 
der Steuereinrichtung SC zu Vermittlungssystem Si und Ver- 
mittlungs system einen Totalausfall beider Vermittlungs- 
systeme Si und Sib verursacht, wird das Netzwerkraanagement NM 
stets von der Steuereinrichtung SC und den Vermittlungssyste- 
men iiber eine Ersatzschaltung und die bevorstehende Abschal- 
tung eines Vermittlungssystems informiert und kann dies gege- 
benenfalls unterbinden. Auch kann ein Bestatigungsmodus fur 
den Bediener an das Netzwerkmanagement NM optional angeboten 
we r den . 



Dasselbe Ausf allszenario bezuglich der Vermittlungssysteme 
soil nun auf einer in Fig. 2 aufgezeigten Konf iguration zum 
Ablauf gelangen. Der Unterschied zu der in Fig. 1 aufgezeig- 
5 ten Konfiguration liegt im Vorsehen zweier Steuereinrichtun- 
gen SCi und SC 2 , die an verschiedenen Orten untergebracht 
sind. Die Steuereinrichtung SC besteht somit aus den beiden 
Half ten SCi und SC 2 . 

I Gemass Fig. 2 tiberwachen sich die beiden (raumlich getrenn- 
ten) Steuereinrichtungen SCi und SC 2 gegenseitig. Fallt die 
Kommunikation zwischen den beiden Steuereinrichtungen SC a und 
SC 2 aus, so gibt es keine von einer Steuereinrichtung ausge- 
henden automatischen Ersatzschalteauf trage mehr. Wahrend der 
Isolation der beiden Steuereinrichtungen SCi und SC 2 wird der 
zuletzt in den beiden Steuereinrichtungen SCi und SC 2 festge- 
legte Betriebszustand der Vermittlungssysteme auf recherhal- 
ten. Dies ist moglich, da die beiden Steuereinrichtungen SCj 
und SC 2 noch getrennt aktiv sind. Das schlieJJt aus, dass bei- 
de Steuereinrichtungen SCi und SC 2 unabhangig voneinander in- 
konsistente Einstellungen der Vermittlungssysteme Si und Si b 
vornehmen. Die Zentralteile CP der Vermittlungssysteme S x und 
Sib stehen mit beiden Steuereinrichtungen SC X und SC 2 in Kon- 
takt und erhalten von Steuereinrichtung SCi und SC 2 explizit 
Auf trage zur Aktivierung bzw. Deaktivierung ihrer Interfaces. 
Diese Auf trage sind konsistent, da sich die beiden Steuerein- 
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richtungen SCi und SC 2 diesbezuglich vorher synchronisiert 
haben . 

Fallt nun Vermittlungssystem Si aus f so stellt dies Steuer- 
5 einrichtung SCi und SC 2 fest. Beide synchronisieren sich und 
schalten Vermittlungssystem Sib ein. Kommt Vermittlungssystem 
Si danach wieder in Betrieb, so wird dies wiederum von Steu- 
ereinrichtung SCi und SC 2 bemerkt und nach erfolgter interner 
Synchronisation geht Vermittlungssystem Si in den von Steuer- 
10 einrichtung SCi und SC 2 veranlassten standby-Zustand. 

• War nur die Kommunikation zwischen Steuereinrichtung SCi und 
Vermittlungssystem Si gestort, wurde das ebenfalls durch die 
beiden Steuereinrichtungen SCi und SC 2 erkannt, und es wurde 
15 auf eine Ersatzschaltung verzichtet. 

War die Kommunikation zwischen Vermittlungssystem Si und bei- 
den zwei Steuereinrichtungen SCi und SC 2 gestort, so haben 
beide Steuereinrichtungen Vermittlungssystem Si b aktiviert. 
2 0 Vermittlungs system Si deaktivierte sich hierbei durch den 

Kommunikationsverlust mit beiden Steuereinrichtungen SCi und 
SC 2 selbst. 

Fallt Steuereinrichtung SCi aus, so stellt sich das als eine 
KommunikationsstGrung zwischen beiden Steuereinrichtungen SCi 
und SC 2 dar. Hierauf unternimmt Steuereinrichtungen SC 2 keine 
weiteren Ersatzschaltungen mehr, da dann die Gefahr bestunde, 
dass Steuereinrichtung SCi ebenfalls Vermittlungssystem S x 
und Vermittlungssystem S ib inkonsistent zu den Einstellungen 
30 von Steuereinrichtung SC 2 einstellt. Da weiterhin Kontakt zu 
SC2 besteht, schaltet sich Vermittlungssystem lb nicht ab. 

Der Vorteil dieser Konf iguration liegt in einer erhcJhten Si- 
cherheit, insbesondere bei automat ischer Abschaltung eines 
35 isolierten Vermittlungssystemes . 
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Patentansprtiche 

1- Verfahren zum Ersatzschalten von raumlich getrennten Ver- 
mittlungssystemen, die in einer 1:1 Redundanz paarweise 
angeordnet sind, wobei das eine Vermittlungssystem (Si) sich 
in einem aktiven Betriebszustand ("act") und das verbleibende 
redundante Vermittlungssystem (Sib) sich in einem hot-standby 
Betriebs zustand ( "idle" ) bef indet , 
dadurch gekennzeichnet, 

dass eine Kommunikation zwischen mindestens einem ubergeord- 
neten Monitor (SC) und mindestens einem der paarweise ange- 
ordneten Vermitt lungs systeme (Si, S ib ) aufgebaut wird, und 
dass bei Kommunikationsverlust zu dem aktiven 

Vermittlungssystem (Si) mit Unterstutzung der zentralen Steu- 
erung (CP) des redundanten Vermittlungs systems (Sib) auf 
dieses in Realzeit umgeschaltet wird. 

2. Verfahren nach Anspruch 1, 
dadurch gekennzeichnet, 

dass zwischen dem mindestens einem ubergeordneten Monitor 
(SC) und den zentralen Steuerungen (CP) der beiden paarweise 
angeordneten Vermittlungssysteme (Si, Si b ) zyklisch Testnach- 
richten ausgetauscht werden. 

3. Verfahren nach Anspruch 1, 2, 
dadurch gekennzeichnet, 

dass der Austausch der zyklischen Testnachrichten zwischen 
dem ubergeordneten Monitor (SC) und der zentralen Steuerung 
(CP) des aktiven Vermittlungssystems (S x ) gesteuert wird, in- 
dem sich das aktive Vermittlungssystem (Si) mit Unterstutzung 
seiner zentralen Steuerung (CP) zyklisch beim Monitor (SC) 
meldet und daraufhin eine positive Quittung (z. B. alle 10s) 
erhalt. 
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4. Verfahren nach Anspruch 1 bis 3, 
dadurch gekennzeichnet, 

dass der Austausch der zyklischen Testnachrichten zwischen 
dem iibergeordneten Monitor (SC) und der zentralen Steuerung 
(CP) des hot-standby Vermittlungssystems (S ib ) gesteuert 
wird, indem sich das hot-standby Vermitt lungs system (Sxb) mit 
Unterstutzung seiner zentralen Steuerung (CP) zyklisch beim 
Monitor (SC) meldet und daraufhin keine oder eine negative 
Quittung (z. b. alle 10s) erhalt. 

5. Verfahren nach Anspruch 1 bis 4, 
dadurch gekennzeichnet, 

dass der verifizierte Kommunikationsverlust zur vermittlungs- 
technisch aktiven Vermittlungsstelle vom Monitor (SC) an das 
Netzwerkmanagement (NM) gemeldet wird, das daraufhin nach 
Massgabe der Verf ugbarkeit von Vermittlungs system (S ib ) Um- 
schaltebefehle an den mindestens einen Monitor (SC) sendet. 

6. Verfahren nach Anspruch 1, 2 oder 3, 
dadurch gekennzeichnet, 

dass das Umschalten auf das redundante Vermittlungs system 
(S ib ) vom Monitor (SC) gesteuert wird, indem er die zykli- 
schen Anforderungen ("Request") des hot-standby Vermittlungs- 
systems (S lb ) mit einer positiver Quittung quittiert, worauf- 
hin dieses Vermittlungssystem (S ib ) von seiner zentralen 
Steuerung (CP) explizit in den vermittlungstechnisch aktiven 
Zustand gesteuert wird. 

7. Verfahren nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

dass nach Behebung des Kommunikationsverlustes ein automati- 
sches Ruckschalten auf die vor dem Kommunikationsverlust be- 
stehende Konf iguration nicht vorgenommen wird. 

8. Monitor zum Oberwachen und Schalten von Vermittlungssyste- 
men, der in mindestens zwei raumlich getrennte Teile aufge- 
teilt ist, und der bei Ausfall eines Vermittlungssystems in 
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Realzeit auf ein redundant zugeordnetes Vermittlungs system 
umschaltet. 

9. Verfahren nach Anspruch 8, 
dadurch gekennzeichnet, 

dass sich die mindestens beiden Telle (Sd und SC 2 ) des Moni- 
tors (SC) gegenseitig iiberwachen, 

dass eine KommunikationsstSrung zwischen einem der mindestens 
beiden Telle und dem jeweils aktiven Vermittlungssystem (S 1 ) 
Anlafi dafttr ist, 

dass die mindestens beide Telle (Sd und SC 2 ) sich hierauf- 
hin gegenseitig synchronisieren und das redundante Vermitt- 
lungssystem (S^) aktivieren oder nicht aktivieren. 

10. Verfahren nach Anspruch 8, 9, 
dadurch gekennzeichnet, 

dass im Falle einer Kommunikationsstorung zwischen den min- 
destens beiden Teilen (Sd, SC 2 ) selbst der zuletzt in den 
mindestens beiden Teilen (Sd, Sd) festgelegte Betriebszu- 
stand der Vermittlungssysteme (Si, S lb ) auf rechterhalten wird. 
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Zusaitimenfassung 

Verfahren zum Ersatzschalten von raumlich getrennten Vermitt- 
lungs systemen 

Beim Stand der Technik besteht das Problem, dass zeitgemaile 
Vermittlungssysteme durch redundantes Bereitstellen wichtiger 
interner Komponenten zwar iiber ein hohes Maft an interner Be- 
triebssicherheit verfugen. Treten jedoch massive auilere Ein- 
wirkungen auf (z. B . Naturkatastrophen, Terroranschlage, 
kriegerische Einwirkungen etc.), so nutzen die getroffenen 
Vorkehrungen in der Regel wenig. Erf indungsgemaB eine 1:1 R e - 
dundanz vorgesehen. Demgemass wird jedem zu schiitzenden Ver- 
mittlungssystem ein identischer Klon als Redundanzpartner mit 
identischer Hardware, Software und Datenbasis zugeordnet. Die 
Omschaltung erfolgt schnell, sicher und automatisch durch ei- 
nen tibergeordneten, realzeitfahigen Monitor, der eine Kommu- 
nikation zu den paarweise angeordneten Vermittlungssystemen 
aufbaut. Bei Kommunikationsverlust zu dem aktiven 
Vermittlungssystem wird mit Unterstutzung der zentralen Steu- 
erungen der beiden Vermittlungssysteme auf das redundante 
Vermittlungssystem umgeschaltet . 

Fig 1 
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